CVE-2020-3952 – VMware vCenter Server Information Disclosure
Uma vulnerabilidade crítica (CVE-2020-3952) permite a divulgação de informações sensíveis no VMware vCenter Server via LDAP (porta 389). A exploração já foi confirmada em ambientes reais e possui alta probabilidade de exploração nos próximos 30 dias (EPSS 90,4%). O risco afeta todas as organizações que utilizam vCenter Server, independentemente do setor ou região. A CISA exige aplicação de patches até 3 maio 2022. Prioridade máxima para mitigação.
Dados confirmados por NVD, EPSS com alta pontuação e inclusão no catálogo CISA KEV com prazo de mitigação obrigatório.
O que aconteceu
O VMware Directory Service (vmdir) não impõe controles de acesso adequados, permitindo que um atacante com acesso de rede ao serviço LDAP (porta 389) extraia dados confidenciais, incluindo credenciais. O vetor CVSS 3.1 indica ataque remoto, baixa complexidade, sem necessidade de privilégios ou interação do usuário. O EPSS de 90,4% indica que exploits estão amplamente disponíveis e a exploração é provável em curto prazo.
Por que isso importa
A exposição de credenciais e configurações internas pode levar a comprometimento total do ambiente de virtualização, permitindo movimentos laterais, elevação de privilégios e interrupção de serviços críticos. A confidencialidade, integridade e disponibilidade são todas impactadas em nível alto.
Quem está em risco
Organizações que executam VMware vCenter Server (versões 6.7 e 7.0) em qualquer setor ou região global.
Detalhes técnicos
Vetor de ataque: NETWORK; Complexidade: LOW; Privilégios exigidos: NONE; Interação do usuário: NONE. CWE-306 (Missing Authentication). Exploração via consultas LDAP não autenticadas ao vmdir. Técnicas MITRE ATT&CK: T1040 (Exfiltration Over Alternative Protocol) e T1087 (Account Discovery) quando informações de contas são extraídas. PoC disponível em http://packetstormsecurity.com/files/157896/VMware-vCenter-Server-6.7-Authentication-Bypass.html.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Aplicar imediatamente os patches da VMware conforme VMSA-2020-0006 (versão 6.7 U3c ou posterior, ou equivalente para 7.0).
- 2
Restringir o acesso à porta 389/LDAP ao mínimo necessário usando firewalls ou listas de controle de acesso.
- 3
Revisar e auditar logs de vmdir para identificar consultas LDAP suspeitas e validar a integridade das credenciais armazenadas.
Sugestões de detecção
- ›
Consultar logs do vCenter Server (vmdir.log) por buscas LDAP incomuns ou por usuários "anonymous"; filtrar por "search" e "bind" sem credenciais.
- ›
Criar regra de SIEM que alerte conexões de rede ao IP do vCenter na porta 389 provenientes de hosts que não estejam na lista de gerenciamento autorizado.
Falsos positivos
Não há dados suficientes para avaliar falsos positivos.